{"id":85702,"date":"2020-06-18T13:42:59","date_gmt":"2020-06-18T11:42:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej"},"modified":"2020-06-18T13:42:59","modified_gmt":"2020-06-18T11:42:59","slug":"bhunter-vzlamyvaem-uzly-bot-setej","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","title":{"rendered":"Bhunter - wir hacken Botnetz-Knoten","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Virusanalytiker und Forscher im Bereich der Computersicherheit versuchen, so viele Proben neuer Botnetze wie m\u00f6glich zu sammeln. Zu diesem Zweck nutzen sie Honeypots.\u2026 Aber was ist, wenn man ein sch\u00e4dliches Programm unter realen Bedingungen beobachten m\u00f6chte? Soll man seinen Server oder Router einem Risiko aussetzen? Und was, wenn das passende Ger\u00e4t nicht verf\u00fcgbar ist? Diese Fragen haben mich zur Entwicklung von bhunter inspiriert \u2013 einem Tool, das den Zugang zu Knoten in Botnetzen erm\u00f6glicht.<\/p>\n

\"Bhunter
\n<\/a><\/noindex><\/p>\n

Die Grundidee<\/h1>\n

\nEs gibt viele M\u00f6glichkeiten, Malware zu verbreiten, um Bot-Netze zu erweitern: angefangen von Phishing bis hin zur Ausnutzung von 0-Day-Schwachstellen. Die g\u00e4ngigste Methode bleibt jedoch bis heute das Brute-Force-Angreifen von SSH-Passw\u00f6rtern.<\/p>\n

Die Idee ist sehr einfach. Wenn von einem Bot-Netz-Knoten aus Brute-Force-Angriffe auf Ihren Server unternommen werden, dann ist es wahrscheinlich, dass dieser Knoten selbst durch Brute-Force-Angriffe mit einfachen Passw\u00f6rtern \u00fcbernommen wurde. Das bedeutet, um Zugang zu erhalten, m\u00fcssen Sie ihm einfach mit \"Gegenseitigkeit\" antworten.<\/p>\n

So funktioniert bhunter. Es lauscht auf Port 22 (SSH-Dienst) und sammelt alle Logins und Passw\u00f6rter, die versuchen, sich damit zu verbinden. Anschlie\u00dfend versucht es, mithilfe der gesammelten Passw\u00f6rter eine Verbindung zu den angreifenden Knoten herzustellen.<\/p>\n

Betriebsalgorithmus<\/h1>\n

\nDas Programm kann grob in zwei Hauptbestandteile unterteilt werden, die in getrennten Threads arbeiten. Der erste \u2013 Honeypot. Er verarbeitet Anmeldeversuche, sammelt einzigartige Logins und Passw\u00f6rter (in diesem Fall wird das Paar Login+Passwort als Einheit betrachtet) und f\u00fcgt IP-Adressen, die eine Verbindung versucht haben, zur Warteschlange f\u00fcr einen sp\u00e4teren Angriff hinzu.<\/p>\n

Der zweite Teil ist direkt f\u00fcr den Angriff verantwortlich. Dabei wird der Angriff in zwei Modi durchgef\u00fchrt: BurstAttack (Angriff mit Warteschlange) \u2013 das Brute-Forcen von Logins und Passw\u00f6rtern aus einer allgemeinen Liste und SingleShotAttack (Einzelangriff) \u2013 das Brute-Forcen von Passw\u00f6rtern, die von dem angegriffenen Knoten verwendet wurden, jedoch noch nicht zur allgemeinen Liste hinzugef\u00fcgt wurden.<\/p>\n

Um gleich nach dem Start eine gewisse Basis von Logins und Passw\u00f6rtern zu haben, wird bhunter mit einer Liste aus der Datei \/etc\/bhunter\/defaultLoginPairs initialisiert. <\/p>\n

Benutzeroberfl\u00e4che<\/h1>\n

\nEs sind mehrere M\u00f6glichkeiten zum Starten von bhunter vorgesehen:<\/p>\n

Einfach per Befehl<\/h5>\n

<\/p>\n

sudo bhunter<\/code><\/pre>\n
\nBei einem solchen Start besteht die M\u00f6glichkeit, bhunter \u00fcber sein Textmen\u00fc zu steuern: Benutzeranmeldungen und Passw\u00f6rter f\u00fcr Angriffe hinzuzuf\u00fcgen, die Datenbank mit Anmeldungen und Passw\u00f6rtern zu exportieren und das Ziel f\u00fcr den Angriff anzugeben. Alle gehackten Knoten sind in der Datei \/var\/log\/bhunter\/hacked.log einsehbar.<\/p>\n
Mit tmux<\/h5>\n
<\/p>\n
sudo bhunter-ts # Befehl zum Starten von bhunter \u00fcber tmux  \nsudo tmux attach -t bhunter # Verbindung zur Sitzung, in der bhunter l\u00e4uft\n<\/code><\/pre>\n
\nTmux ist ein terminalbasierter Multiplexer, ein sehr n\u00fctzliches Werkzeug. Er erm\u00f6glicht es, innerhalb eines Terminals mehrere Fenster zu erstellen und die Fenster in Panels aufzuteilen. Mit seiner Hilfe kann man das Terminal schlie\u00dfen und sp\u00e4ter zur\u00fcckkehren, w\u00e4hrend die laufenden Prozesse nicht unterbrochen werden. <\/p>\n
Das Skript bhunter-ts erstellt eine tmux-Session und unterteilt das Fenster in drei Panels. Im gr\u00f6\u00dften Panel befindet sich das Textmen\u00fc. Das obere rechte Panel enth\u00e4lt die Logs des Honeypots, hier k\u00f6nnen Sie Meldungen \u00fcber Anmeldeversuche sehen. Im unteren rechten Panel werden Informationen \u00fcber den Fortschritt der Angriffe auf die Knoten der Botnetze und \u00fcber erfolgreiche Hacks ausgegeben.<\/p>\n
Der Vorteil dieser Methode gegen\u00fcber der ersten besteht darin, dass wir das Terminal bedenkenlos schlie\u00dfen und sp\u00e4ter zur\u00fcckkehren k\u00f6nnen, w\u00e4hrend bhunter seine Arbeit nicht stoppt. F\u00fcr diejenigen, die mit tmux wenig vertraut sind, empfehle ich  diesen Spickzettel<\/a><\/noindex>.<\/p>\n
As a service<\/h5>\n
<\/p>\n
systemctl enable bhunter\nsystemctl start bhunter<\/code><\/pre>\n
\nIn diesem Fall aktivieren wir den Autostart von bhunter beim Systemstart. In dieser Methode ist keine Interaktion mit bhunter vorgesehen, und die Liste der gehackten Knoten kann aus \/var\/log\/bhunter\/hacked.log abgerufen werden.<\/p>\n
Effektivit\u00e4t<\/h1>\n
\nW\u00e4hrend meiner Arbeit an bhunter konnte ich auf v\u00f6llig unterschiedliche Ger\u00e4te zugreifen: raspberry pi, Router (insbesondere mikrotik), Web-Server, und einmal sogar auf eine Mining-Farm (leider war der Zugriff nur f\u00fcr einen Tag m\u00f6glich, daher gab es keine interessante Geschichte). Hier ist ein Screenshot des Programms, auf dem die Liste der gehackten Knoten nach mehreren Tagen Arbeit zu sehen ist:<\/p>\n
\"Bhunter
\n
\nLeider hat die Effektivit\u00e4t dieses Werkzeugs meine Erwartungen nicht erf\u00fcllt: bhunter kann mehrere Tage lang Passw\u00f6rter zu Knoten ausprobieren, ohne Ergebnisse zu erzielen, oder innerhalb von ein paar Stunden mehrere Ziele hacken. Aber f\u00fcr einen kontinuierlichen Zustrom neuer Botnetz-Muster ist dies ausreichend.<\/p>\n
Die Effektivit\u00e4t wird durch Faktoren wie das Land, in dem sich der Server mit bhunter befindet, das Hosting und den \u0434\u0438\u0430\u043f\u0430\u0437\u043e\u043d, aus dem die IP-Adresse zugewiesen wurde, beeinflusst. Aus meiner Erfahrung gab es einen Fall, in dem ich zwei virtuelle Server bei demselben Hosting-Anbieter gemietet habe, und einer von ihnen wurde zwei Mal h\u00e4ufiger von Bot-Netzen angegriffen.<\/p>\n
Bugs, die ich bisher nicht behoben habe<\/h1>\n
\nBei Angriffen auf infizierte Knoten l\u00e4sst sich in einigen Situationen nicht eindeutig bestimmen, ob das Passwort richtig war oder nicht. Die Protokollierung solcher F\u00e4lle erfolgt in der Datei \/var\/log\/debug.log.<\/p>\n
Das Paramiko-Modul, das f\u00fcr die Arbeit mit SSH verwendet wird, verh\u00e4lt sich manchmal unzuverl\u00e4ssig: Es geht in eine endlose Wartezeit auf eine Antwort vom Knoten, wenn es versucht, sich mit ihm zu verbinden. Ich habe mit Timern experimentiert, aber das gew\u00fcnschte Ergebnis nicht erzielt.<\/p>\n
Woran muss sonst noch gearbeitet werden?<\/h1>\n
<\/p>\n
Service name<\/h5>\n
\nGem\u00e4\u00df RFC-4253 tauschen Client und Server vor der Verbindung die Namen der Dienste aus, die das SSH-Protokoll implementieren. Dieser Name befindet sich im Feld \u201eSERVICE NAME\u201c, das sowohl in der Anfrage des Clients als auch in der Antwort des Servers enthalten ist. Das Feld ist eine Zeichenkette, und sein Wert kann mit Wireshark oder nmap ermittelt werden. Hier ein Beispiel f\u00fcr OpenSSH:<\/p>\n
$ nmap -p 22 ***.**.***.** -sV\nStarte Nmap ...\nPORT   STATUS DIENST VERSION\n22\/tcp offen  ssh     <b>OpenSSH 7.9p1 Debian 10+deb10u2<\/b> (Protokoll 2.0)\nNmap fertig: 1 IP-Adresse (1 Host aktiv) in 0,47 Sekunden gescannt\n<\/code><\/pre>\n
\nIm Fall von Paramiko enth\u00e4lt dieses Feld jedoch eine Zeichenfolge wie \u201eParamiko Python sshd 2.4.2\u201c, was Botnetze abschrecken kann, in denen \u201eUmgehung\u201c von Fallen programmiert ist. Daher halte ich es f\u00fcr notwendig, diese Zeichenfolge durch etwas Neutraleres zu ersetzen.<\/p>\n
Weitere Vektoren<\/h5>\n
\nSSH ist nicht das einzige Mittel zur Fernsteuerung. Es gibt auch Telnet, RDP. Man sollte auch einen Blick darauf werfen.<\/p>\n
Erweiterung<\/h5>\n
\nEs w\u00e4re gro\u00dfartig, mehrere Fallen in verschiedenen L\u00e4ndern zu haben und zentral Logins, Passw\u00f6rter und gehackte Knoten in einer gemeinsamen Datenbank zu sammeln. <\/p>\n
Wo herunterladen?<\/h1>\n
\nZum Zeitpunkt des Schreibens des Artikels ist nur eine Testversion verf\u00fcgbar, die heruntergeladen werden kann von dem Repository auf Github<\/a><\/noindex>.
\n
Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432. \u0412 \u0441\u0432\u043e\u0438\u0445 \u0446\u0435\u043b\u044f\u0445 \u043e\u043d\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 honeypot’\u044b.\u2026 \u041d\u043e \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u0445\u043e\u0447\u0435\u0442\u0441\u044f \u043f\u043e\u043d\u0430\u0431\u043b\u044e\u0434\u0430\u0442\u044c \u0437\u0430 \u0437\u043b\u043e\u0432\u0440\u0435\u0434\u043e\u043c \u0432 \u0440\u0435\u0430\u043b\u044c\u043d\u044b\u0445 \u0443\u0441\u043b\u043e\u0432\u0438\u044f\u0445? \u041f\u043e\u0434\u0441\u0442\u0430\u0432\u0438\u0442\u044c \u043f\u043e\u0434 \u0443\u0434\u0430\u0440 \u0441\u0432\u043e\u0439 \u0441\u0435\u0440\u0432\u0435\u0440, \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0442\u043e\u0440? \u0410 \u0447\u0442\u043e \u0435\u0441\u043b\u0438 \u043f\u043e\u0434\u0445\u043e\u0434\u044f\u0449\u0435\u0433\u043e \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043d\u0435\u0442? \u0418\u043c\u0435\u043d\u043d\u043e \u044d\u0442\u0438 \u0432\u043e\u043f\u0440\u043e\u0441\u044b \u043d\u0430\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438 \u043c\u0435\u043d\u044f \u043d\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u0435 bhunter \u2014 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430 \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":85703,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-85702","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Bhunter \u2014 Botnetz-Knoten hacken | ProHoster","description":"Virusanalytiker und Sicherheitsexperten streben danach, so viele Proben neuer Botnetze wie m\u00f6glich zu sammeln.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Bhunter \u2014 \u0432\u0437\u043b\u0430\u043c\u044b\u0432\u0430\u0435\u043c \u0443\u0437\u043b\u044b \u0431\u043e\u0442-\u0441\u0435\u0442\u0435\u0439 | ProHoster","og:description":"\u0412\u0438\u0440\u0443\u0441\u043d\u044b\u0435 \u0430\u043d\u0430\u043b\u0438\u0442\u0438\u043a\u0438 \u0438 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0438 \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u043d\u043e\u0439 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0441\u0442\u0440\u0435\u043c\u044f\u0442\u0441\u044f \u0441\u043e\u0431\u0440\u0430\u0442\u044c \u043a\u0430\u043a \u043c\u043e\u0436\u043d\u043e \u0431\u043e\u043b\u044c\u0448\u0435 \u043e\u0431\u0440\u0430\u0437\u0446\u043e\u0432 \u043d\u043e\u0432\u044b\u0445 \u0431\u043e\u0442\u043d\u0435\u0442\u043e\u0432.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/bhunter-vzlamyvaem-uzly-bot-setej","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-06-18T11:42:59+00:00","article:modified_time":"2020-06-18T11:42:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"85702","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 14:32:46","updated":"2022-09-27 21:52:04","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/85702","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=85702"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/85702\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/85703"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=85702"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=85702"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=85702"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}